SOC 2 Evidence Collection: Những Gì Cần Thu Thập

SOC 2 evidence collection là việc thu thập bằng chứng có ngày tháng cho thấy mỗi control đã chạy đúng như mô tả. Với Type II, bằng chứng phải phủ toàn bộ observation period, thường từ 3 đến 12 tháng (AICPA không quy định tối thiểu), để CPA firm chọn mẫu và kiểm tra lại. Bốn nhóm gần như công ty nào cũng phải có: access review, change management, đào tạo và quét lỗ hổng.

Evidence trong SOC 2 là gì và vì sao Type II đòi hỏi nhiều hơn?

Evidence là bản ghi gốc chứng minh một control đã vận hành: file export, log, ticket, biên bản phê duyệt, mỗi thứ có ngày và người thực hiện. Type I chỉ cần chứng minh control được thiết kế đúng tại một ngày, nên evidence chủ yếu là chính sách và cấu hình. Type II kiểm tra control chạy nhất quán trong cả kỳ, nên kiểm toán viên chọn mẫu từ nhiều thời điểm: một quý access review bị thiếu là một khoảng trống họ sẽ ghi nhận. Vì vậy evidence không thể gom vội vào cuối kỳ (xem vì sao chuẩn bị audit phút chót là quá muộn); nó phải được thu theo lịch ngay từ ngày đầu kỳ. Khung tiêu chí kiểm toán viên dùng là Trust Services Criteria của AICPA.

Bốn nhóm evidence cốt lõi gồm những gì?

Kiểm toán viên tổ chức yêu cầu theo Trust Services Criteria, nhưng khi triển khai, hầu hết công ty SaaS đều phải duy trì bốn nhóm sau:

Nhóm evidence	Ví dụ bằng chứng	Tần suất thường gặp	Kiểm toán viên kiểm tra gì
Access review	Danh sách tài khoản theo hệ thống, biên bản review có người duyệt, log cấp và thu hồi quyền	Hằng quý	Mỗi kỳ review có diễn ra, người nghỉ việc bị thu hồi quyền kịp thời
Change management	Ticket thay đổi production có người duyệt, kết quả test, pull request được review	Mỗi lần thay đổi	Người duyệt khác người thực hiện, thay đổi khẩn cấp được ghi nhận và review sau
Đào tạo bảo mật	Export từ LMS hoặc log xác nhận đã đọc chính sách	Khi onboarding và hằng năm	Có chương trình, nhân viên hoàn thành, tỷ lệ hoàn thành được theo dõi
Quét lỗ hổng	Báo cáo scan, ticket khắc phục, thời gian xử lý theo mức độ	Theo lịch công ty tự đặt (thường hằng tháng hoặc hằng quý)	Lỗ hổng nghiêm trọng được xử lý trong thời hạn chính sách đặt ra

Tần suất trong bảng là cách làm phổ biến, không phải yêu cầu của AICPA: SOC 2 kiểm tra control có chạy đúng tần suất mà chính công ty đã cam kết trong mô tả hệ thống hay không. Danh sách evidence chi tiết theo từng nhóm tiêu chí có trong SOC 2 evidence checklist.

Những lỗi nào thường làm hỏng evidence SOC 2?

Ba lỗi hay gặp nhất đều có cùng nguyên nhân: evidence được thu khi cần chứ không theo lịch.

Khoảng trống trong kỳ: chính sách nói access review hằng quý nhưng chỉ tìm được hai trên bốn kỳ. Đây là ngoại lệ (exception) kiểm toán viên sẽ ghi vào báo cáo.
Evidence không đủ chi tiết: một ảnh chụp màn hình "đã review" không bằng file export ghi rõ ai review tài khoản nào, ngày nào, kết quả gì. Kiểm toán viên cần đủ chi tiết để tự kiểm tra lại.
Ngoại lệ không có dấu vết: một lần deploy khẩn cấp bỏ qua quy trình chưa chắc là finding, nhưng phải có bản ghi lý do, người phê duyệt và review sau sự kiện.

Nguyên nhân chung thường là không có control owner rõ ràng ở từng phòng ban; xem vì sao compliance không phải việc riêng của team GRC và cách đo thời gian thu thập evidence mỗi tuần.

Tổ chức evidence thế nào để fieldwork diễn ra nhanh?

Kiểm toán viên làm việc theo danh sách yêu cầu (request list hoặc PBC list) gắn với từng control. Nếu mỗi control đã có sẵn chỗ lưu evidence, người phụ trách và lịch thu, fieldwork chủ yếu là gửi đúng file cho đúng yêu cầu. Cách làm thực tế:

Lập ma trận control: mỗi control có mã tiêu chí, người phụ trách, tần suất và nơi lưu evidence.
Lưu evidence ở một kho trung tâm, đặt tên theo control và ngày.
Thu evidence theo lịch trong suốt kỳ, không đợi kiểm toán viên yêu cầu.
Ghi lại mọi ngoại lệ ngay khi xảy ra, kèm phê duyệt và hành động khắc phục.
Trước fieldwork, tự chọn vài mẫu ngẫu nhiên để kiểm tra kho đã đủ chưa.

Các bước chuẩn bị còn lại có trong SOC 2 readiness checklist.

pTrackly hỗ trợ thu thập evidence SOC 2 như thế nào?

Trong pTrackly, mỗi evidence task có người phụ trách, tần suất (hằng ngày đến hằng năm), phòng ban, framework và ngày review. Khi đến kỳ, task tự mở lại; pTrackly nhắc trước hạn 7, 3 và 1 ngày, gửi bản tổng hợp việc còn mở mỗi thứ Hai, và lưu bản phê duyệt có chữ ký cho đúng phiên bản evidence đã duyệt. Evidence có thể là file tải lên hoặc kết quả từ tích hợp. Khi audit, bạn gắn task vào từng yêu cầu của kiểm toán viên trong Auditor portal và khóa bộ evidence kèm dấu SHA-256. Việc vận hành control và chọn mẫu vẫn thuộc về team của bạn và kiểm toán viên. Xem thêm pTrackly cho SOC 2.

Câu hỏi thường gặp

Observation period bao lâu là đủ cho SOC 2 Type II?

Thường từ 3 đến 12 tháng; AICPA không quy định thời gian tối thiểu. Kỳ đầu tiên hay ngắn hơn, còn khách hàng enterprise thường muốn thấy các kỳ tiếp theo kéo dài khoảng 12 tháng và nối tiếp nhau.

Cần lưu evidence gốc hay bản tóm tắt là đủ?

Kiểm toán viên muốn evidence lấy trực tiếp từ hệ thống gốc, như file export, ảnh chụp có thời gian hoặc log, thay vì bản tóm tắt do nội bộ tự tạo. Bản tóm tắt chỉ nên dùng để dẫn đến evidence gốc.

Một control không chạy trong một giai đoạn thì có nên báo trước cho kiểm toán viên?

Có. Chủ động nêu ngoại lệ kèm nguyên nhân và hành động khắc phục thường tốt hơn để kiểm toán viên tự phát hiện, và giúp phần mô tả ngoại lệ trong báo cáo rõ ràng hơn.

Tần suất thu evidence do ai quyết định?

Do chính công ty, thông qua chính sách và mô tả hệ thống. Kiểm toán viên kiểm tra control có chạy đúng tần suất đã cam kết hay không, nên đừng đặt tần suất cao hơn mức team duy trì được.